Cómo usar: Generador CSP
- Marca los servicios que usa tu sitio (analítica, fuentes, embeds de vídeo, pagos). Sus hosts se añaden a las directivas correspondientes.
- Ajusta cualquier directiva, por ejemplo añadiendo tu propio CDN a
script-srcoimg-src. - Empieza con Solo informe en un sitio en producción: los navegadores registran las infracciones sin bloquear nada.
- Copia la política como cabecera, meta tag o configuración del servidor, despliégala y revisa la consola del navegador por si hay recursos bloqueados.
Qué hace una Content Security Policy
Una Content-Security-Policy (CSP) indica al navegador desde qué orígenes puede cargar una página scripts, estilos, imágenes, fuentes, frames y conexiones. Si un atacante inyecta un <script> (cross-site scripting), el navegador se niega a ejecutarlo porque su origen no está permitido. Es una de las defensas más eficaces contra XSS y el robo de datos.
Directivas clave
| Directiva | Controla |
|---|---|
default-src | Valor por defecto para todos los tipos de recurso que no listes |
script-src | JavaScript: la más importante |
style-src, img-src, font-src | CSS, imágenes y fuentes web |
connect-src | fetch, XHR, WebSocket y beacons de analítica |
frame-src / frame-ancestors | Qué iframes incrustas / quién puede incrustar tu página (clickjacking) |
object-src 'none', base-uri 'self' | Cierran dos bypasses clásicos de XSS: añádelas siempre |
Cómo desplegarla con seguridad
Despliega primero con Content-Security-Policy-Report-Only y vigila la consola del navegador (o un endpoint de report-to) durante unos días. Corrige lo que se rompa y después cambia a la cabecera que aplica la política. Evita 'unsafe-inline' y 'unsafe-eval' en script-src; usa nonces o hashes para los pocos scripts inline que necesites.
Comprueba un sitio en producción con el Revisor de cabeceras de seguridad.
También se busca como: generador content security policy, cabecera csp, content-security-policy builder, csp nginx, csp meta tag, script-src, csp google analytics, csp report-only.
Herramientas que combinan con: Generador CSP
- Generador .htaccess — Marca las reglas que necesitas —HTTPS, host canónico, redirecciones, compresión, caché, cabeceras de seguridad, archivos protegidos— y obtén un archivo .htaccess limpio y comentado.
- Generador de configuraciones de Nginx — Elige qué quieres que haga Nginx —servir una página web estática o una SPA, actuar como proxy para una aplicación de Node/Python o ejecutar PHP— y marca las opciones adicionales.
- Comprobador de cabeceras HTTP — Introduce cualquier URL y mira exactamente lo que devuelve el servidor: código de estado, cadena de redirecciones y todas las cabeceras de respuesta, con una explicación sencilla de las que importan para el SEO, la caché y la seguridad.
- Generador de security.txt — Rellena unos pocos campos para generar un /.well-known/security.txt conforme al estándar, que indica a los investigadores cómo reportarte problemas de seguridad.